<web-view :src="pageUrl" @message=""></web-view>
后浪
- 发布：2021-06-22 14:09
- 更新：2021-06-22 14:09
- 阅读：538
产品分类： uniapp/App
PC开发环境操作系统： Windows
PC开发环境操作系统版本号： win10
HBuilderX类型： 正式
HBuilderX版本号： 3.1.4
手机系统： Android
手机系统版本号： Android 10
手机厂商： 小米
手机机型： xiaomi9
页面类型： vue
打包方式： 离线
项目创建方式： HBuilderX
示例代码：
操作步骤：
使用了webview标签，打开html页面；在Android应用中，WebView开启了file域访问，允许file域访问http域，且未对file域的路径进行严格限制。攻击者通过URL Scheme的方式，可远程打开并加载恶意HTML文件，远程获取用户隐私数据（包括手机应用数据、照片、文档等敏感信息），还可窃取用户登录凭证，在受害者毫无察觉的情况下实现对APP用户账户的完全控制。
使用了webview标签，打开html页面；在Android应用中，WebView开启了file域访问，允许file域访问http域，且未对file域的路径进行严格限制。攻击者通过URL Scheme的方式，可远程打开并加载恶意HTML文件，远程获取用户隐私数据（包括手机应用数据、照片、文档等敏感信息），还可窃取用户登录凭证，在受害者毫无察觉的情况下实现对APP用户账户的完全控制。
预期结果：
WebView不开启file域访问
WebView不开启file域访问
实际结果：
WebView开启了file域访问
WebView开启了file域访问
bug描述：
使用了webview标签，打开html页面；在Android应用中，WebView开启了file域访问，允许file域访问http域，且未对file域的路径进行严格限制。攻击者通过URL Scheme的方式，可远程打开并加载恶意HTML文件，远程获取用户隐私数据（包括手机应用数据、照片、文档等敏感信息），还可窃取用户登录凭证，在受害者毫无察觉的情况下实现对APP用户账户的完全控制。
若file域访问为非功能需求时，手动配置setAllowFileAccessFromFileURLs或setAllowUniversalAccessFromFileURLs两个API为false。（Android4.1版本之前这两个API默认是true，需要显式设置为false）
0 个回复